2026년 OpenClaw 플러그인 fail-closed·manifest 강제 선언: 원격 물리 Mac 7×24 게이트웨이에서 openclaw doctor 감사 체크리스트, ACP dispatch 스위치, 통제된 롤백 Runbook

고통 포인트

1. 제약: 암묵적 권한과 「돌아가니까 배포」. fs, network, subprocess 등 manifest에서 빠진 capability가 fail-open에서는 조용히 허용되는 경우가 많아 감사로 무엇이 허용됐는지 증명할 수 없습니다.
2. 숨은 비용: doctor 녹색 ≠ 정책 적용. openclaw doctor가 런타임과 포트는 보여줘도 핫 리로드가 새 manifest 강제 플래그를 못 읽으면 외부 관찰은 여전히 레거시 동작일 수 있습니다.
3. 안정성·감사: 짝 없는 스냅샷으로는 롤백이 성립하지 않습니다. 공격적으로 fail-closed를 켜면 정상 자동화가 밤새 깨질 수 있는데, 설정+플러그인 번들 스냅샷 없이 JSON을 수동 편집하면 7×24 SLO를 깨뜨립니다.

fail-closed × manifest 의사결정 매트릭스

첫 표는 「얼마나 엄격할까」, 둘째는 「변경 신호마다 무엇을 검증할까」에 답합니다.

openclaw doctor 감사 체크리스트

doctor를 「정책이 실제로 로드됐다」는 증거로 쓰고, 변경 티켓마다 체크합니다(키 이름은 배포판 문서에 맞춰 openclaw.json 또는 환경 변수로 매핑).

• 런타임·PATH: launchd 사용자와 일치하는지, which openclaw가 plist의 바이너리 경로와 같은지.
• manifest 해석: 유효 플러그인 루트 출력, 강제 시 manifest 없는 디렉터리 거부.
• fail-closed 플래그: 불리언과 출처 파일 출력, WARN은 릴리스 차단.
• ACP dispatch: 스위치 상태와 허용 목록 크기, dispatch 켠 채 허용 목록이 비면 「들어올 클라이언트 없음」 경고가 나와야 합니다.
• 외부 헬스: 로컬 curl과 /ready(있을 때)를 짝지어 자가 점검만 녹색이고 역프록시는 빨간 상황을 피합니다.

ACP dispatch 스위치

ACP dispatch는 IDE·CLI·외부 오케스트레이터 같은 에이전트 클라이언트 요청이 플러그인 스케줄러에 들어올 수 있는지를 가릅니다. fail-closed와 함께 쓸 때는 먼저 manifest로 플러그인 집합을 검증하고, 그다음 dispatch로 정문을 지키는 순서가 안전합니다. 그래야 탈취된 클라이언트가 고위험 훅으로 바로 뛰지 못합니다.

예시 JSON(프로덕션 전에 배포판 스키마로 치환):

{
  "plugins": {
    "requireManifest": true,
    "failClosed": true,
    "manifestSchemaVersion": "2026-05"
  },
  "acp": {
    "dispatchEnabled": true,
    "allowedClientIds": ["ci-runner-prod", "vscode-workspace-ops"],
    "denyByDefault": true
  }
}

allowedClientIds를 내부 OAuth 주체 또는 mTLS DN과 맞추고, 포렌식을 위해 clientId × pluginId 데카르트 곱을 JSONL에 남기세요.

수락용 grep 조각

아카이브 또는 라이브 워크스페이스에서 실행(경로 조정):

# fail-closed / requireManifest 플래그 명시 여부
grep -RniE 'failClosed|fail_closed|requireManifest|require_manifest' \
  ~/.config/openclaw ./openclaw.json 2>/dev/null

# 플러그인 디렉터리마다 manifest 존재(없으면 로드되면 안 됨)
find "$OPENCLAW_PLUGIN_ROOT" -maxdepth 2 -type f \( -name 'manifest.json' -o -name 'plugin.yaml' \) | wc -l

# 프로덕션에서 ACP dispatch 허용 목록은 비어 있으면 안 됨
grep -Rni 'dispatchEnabled|allowedClientIds|denyByDefault' ~/.config/openclaw ./openclaw.json 2>/dev/null

첫 grep이 아무 것도 안 남기면 암묵적 fail-open일 가능성이 큽니다. 근육 기억만으로 프로덕션 서명은 하지 마세요.

7단계 통제 롤백 런북

1. 동결: 점검 공지 후 호출 표면을 넓히는 cron을 잠시 멈춥니다.
2. 스냅샷: openclaw.json, 플러그인 트리, launchd plist, doctor 표준 출력을 tar합니다.
3. manifest 강제 켬: 리로드, grep 검증, 「로드 거부」 카운터 관찰.
4. fail-closed 켬: 미선언 capability에 대해 일관된 오류 코드, 5분치 JSONL 베이스라인.
5. ACP dispatch 조이기: 먼저 섀도(로그만), 이후 deny-by-default.
6. 롤백 트리거: SLO 위반 시 짝 스냅샷 복원, launchctl kickstart, doctor 재실행.
7. RCA: grep 체크리스트·티켓 갱신, 다음 카나리아 일정.

인용용 사실

• 관찰 창: 정책 편집 후 유지·롤백을 결정하기 전에 최소 5분 슬라이딩 창을 본다—기동 스파이크만으로는 사건이 아닙니다.
• 스냅샷 보존: 프로덕션에서 복원 가능한 설정 리비전을 3개 유지하고 각각에 플러그인 tarball 체크섬을 붙입니다.
• 감사 보존: 전체 doctor 출력과 grep 캡처를 티켓에 30일 이상 붙여 내부 컴플라이언스 샘플 점검에 대비합니다.

FAQ

영문판: OpenClaw plugins fail-closed & manifest (English)

요약과 Mac mini가 이 부하에 맞는 이유

플러그인 거버넌스는 부족한 구두 지식을 기계로 검증 가능한 정책으로 옮깁니다: manifest가 capability를 묶고, fail-closed가 실패 자세를 정하고, ACP dispatch가 인입 표면을 줄이며, doctor와 grep이 감사자가 기대하는 증거 사슬을 제공합니다.

macOS에서는 launchd, Unified Logging, Gatekeeper, SIP와 잘 맞물립니다. Apple Silicon Mac mini M4는 대기 전력이 대략 4W 수준이라 상시 게이트웨이와 옆구리 프로브에 적합하고, 같은 가격대 범용 미니 PC와 비교해 OpenClaw·헬스 익스포터·가벼운 CI 러너를 한 대의 원격 물리 머신에 얹을 때 장시간 세션이 더 매끄러운 경우가 많습니다.

셀프 랙 대신 전용 호스팅 노드로 이 런북을 돌리고 싶다면 2026년에도 Mac mini M4는 비용 대비 강한 출발점입니다—원격 물리 Mac을 확보하고 manifest 강제와 롤백을 반복 가능한 절차로 만드세요.